e安在线说等保丨如何确定是否属于关键信息基础设施?

上周不少粉丝后台留言,询问如何确定所在单位的系统是否属于关键信息基础设施,e小安马不停蹄地整理相关干货,希望对大家有所帮助。而且就在今天,公安部网络安全保卫局总工程师郭启全在2018ISC互联网安全大会上透露,由中国网信办和公安部牵头,《国家关键信息基础设施安全保护条例》即将出台,“处于在走程序的阶段”。



图片1.png



在分享今天的干货之前,e小安要实名制差评——对那些没有认真开展等级保护工作的单位、企业,你们“装装样子”开展等级保护,真的很丑!相信大家已经知道原因,没错,就是昨天山东多地不动产登记系统遭到勒索病毒GlobeImposter的攻击,截止目前,各路网络专家还在紧急抢修维护中,但系统仍未完全恢复。


事件回放:

9月2日,山东多地不动产登记系统遭到病毒入侵,山东省国土资源专网受到影响,目前已波及山东10个市,不动产登记系统因此无法正常使用,山东多地发布暂停受理不动产业务登记的通告。


图片2.png


据悉,此次不动产登记系统受到了勒索病毒GlobeImposter的攻击,并出现数据缺失、无法显示、存储等问题,导致不动产登记系统受到影响,不动产登记业务无法正常办理。


最近勒索病毒来势汹汹,各大政府、企业、医疗等行业屡屡成为攻击的靶子,中招数直线上升,悲催的是数据恢复的可能性几乎为零。有人可能说,装杀软啊?可这种新变种的病毒,杀软查不出来,很多用户装有杀软但还是不幸中招。现在深信服、360等各安全厂商针对此次事件,已经提供了解决方案,为各家企业如何保护网络安全支招。


虽说亡羊补牢为时不晚,但追根溯源,通过本次山东10市不动产系统遭病毒入侵事件可以得出:

1. 没有重视网络安全,没有进行常规安全检查和杀毒扫描,从而加强防护工作;

2. 没有按照等级保护合规进行建设;亦或形式上的“过等保”,自以为可以高枕无忧;

3. 勒索病毒多次爆发,重点系统的相关负责人仍没有意识做安全检查、整改等工作。


对照等保定级指南,省及地级市的不动产登记系统应当定为三级系统,按照等保三级的相关要求进行安全保护。按照网络安全法,这次事件够相关单位负责人“喝一壶”的了,不仅要被处以罚款,进行警告,有可能处罚力度会更大,因为国土资源专网已经符合关键信息基础设施的要求,属于国家关键信息基础设施。


《网络安全法》引入了“关键信息基础设施”的概念,并在网络安全等级保护制度的基础之上实行重点保护。“关键信息基础设施”作为关乎国家安全和利益的战略性资源,其重要性无需多言,那么你清楚关键信息基础设施的范围吗?


关键信息基础设施

公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破环、丧失功能或数据泄露,可能严重危害国家安全、国计民生、公共利益的关键信息基础设施。


如何确定关键信息基础设施?

关键信息基础设施的确定,通常包括三个步骤,一是确定关键业务,二是确定支撑关键业务的信息系统或工业控制系统,三是根据关键业务对信息系统或工业控制系统的依赖程度,以及信息系统发生网络安全事故后可能造成的损失认定关键信息基础设施。


1、确定本地区、本部门、本行业的关键业务


可参考下图,结合本地区、本部门、本行业实际梳理关键业务。

图片3.png


2、确定关键业务相关的信息系统或工业控制系统


根据关键业务,逐一梳理出支撑关键业务运行或与关键业务相关信息系统或工业控制系统,形成候选关键信息基础设施清单。如电力行业火电企业的发电机组控制系统、管理信息系统等;市政供水相关的水厂生产控制系统、供水管理监控系统等。


3、认定关键信息基础设施


对候选关键信息基础设施清单中的信息系统或工业控制系统,根据本地区、本部门、本行业实际,参照以下标准认定关键信息基础设施。

图片4.png


除此之外,还有很多条款对关键信息基础设施网络服务提供者设定了较高的法定义务和限制。详细见下图:

图片5.png


关键信息基础设施在网络安全等级保护制度的基础上,实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。


开展等级保护,绝对不能“装装样子”

在此我们应该明确一点,开展等级保护,绝对不能装装样子,或走形式以过等保为目的。即使你的系统安全水平高过等级保护对应等级,也就是即使你加强了防护,等级保护工作还是要做的,因为关键基础设施的保护是在等级保护的基础上进行的,满足等级保护是基本安全要求也是前提,特殊的地方需要安全加固,增强保护也是理所当然的。在满足前提的条件下,只能高于等级保护的要求,不能低于等级保护的要求的。


国家关键信息基础设施的保护,离不开等级保护的这个基本国策的支撑。如何把国家关键信息基础设施的信息系统的网络安全等级保护做好,是摆在我们面前的一个挑战。纵使我们大家所处行业不同,但保护网络安全的心却是如出一辙,相信关于等级保护,关于关键信息基础设施,小伙伴们还是有不同的感受,欢迎大家下方留言,表明你的态度,发出你的声音!


本文作者:北京益安在线

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/75374.html

Tags:
评论  (0)
快来写下你的想法吧!

北京益安在线

文章数:14 积分: 16

北京益安在线,培训网络安全人才为宗旨的在线教育平台,主要业务涵盖:等保CIIPT及等保2.0培训、CISP/CISSP培训、攻防实训以及网络安全特色课程

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号